CareCloud-datalek bevestigd bij 3,75 miljoen personen

Een datalek bij CareCloud heeft de medische dossiers en persoonlijke gegevens van meer dan 3,75 miljoen mensen blootgesteld, volgens federale gezondheidstoezichthouders. CareCloud is een zorgtechnologiebedrijf waarvan de software en systemen worden gebruikt door medische zorgverleners in het hele land, wat betekent dat de reikwijdte van het lek veel verder gaat dan de eigen klantenkring van CareCloud, tot aan de patiënten van praktijken die op het platform vertrouwen.

Federale gezondheidstoezichthouders rapporteerden het exacte aantal op 3.756.469 getroffen personen, een cijfer dat dit incident plaatst onder de grotere zorgdatalekken die dit jaar zijn gemeld. Omdat CareCloud infrastructuur en diensten levert aan zorgverleners in plaats van direct patiënten te behandelen, hebben veel van de getroffen mensen mogelijk nooit direct met CareCloud te maken gehad, maar toch werden hun gegevens opgeslagen of verwerkt in de systemen van het bedrijf.

De blootgestelde informatie omvat naar verluidt namen, adressen en burgerservicenummers (sofinummers), samen met medische en gezondheidsinformatie. Die combinatie van identiteitsgegevens en medische dossiers is bijzonder waardevol voor criminelen omdat het kan worden gebruikt voor zowel financiële fraude als medische identiteitsdiefstal, twee categorieën van schade die vaak moeilijker te detecteren en ongedaan te maken zijn dan een simpel gestolen creditcardnummer.

Waarom zorgdatalekken extra risico met zich meebrengen

Zorgdatalekken zijn doorgaans schadelijker dan lekken die alleen betrekking hebben op retail- of financiële accounts, vooral vanwege wat er wordt blootgesteld en hoe lang die gegevens bruikbaar blijven voor aanvallers. Een gestolen creditcard kan binnen een dag worden geblokkeerd. Een gestolen burgerservicenummer of een volledige medische geschiedenis kan niet opnieuw worden uitgegeven en kan jarenlang worden gebruikt om frauduleuze accounts te openen, valse verzekeringsclaims in te dienen of de identiteit van het slachtoffer aan te nemen in medische settings.

Dit incident volgt op een eerdere openbaarmaking die door vpn.social is behandeld, waarin CareCloud bevestigde dat hackers toegang hadden gekregen tot patiëntdossiers die miljoenen personen trof. De omvang van het bevestigde lek is sindsdien nauwkeuriger gekwantificeerd door federale toezichthouders, waarmee een concreet aantal is vastgesteld voor wat aanvankelijk in bredere termen was gerapporteerd. Die progressie, een vroege openbaarmaking gevolgd door een meer specifieke administratieve rapportage, is gebruikelijk bij grootschalige lekken, waarbij de volledige omvang van gecompromitteerde gegevens tijd kost om vast te stellen via forensisch onderzoek.

De zorgsector blijft een aantrekkelijk doelwit voor aanvallers juist vanwege deze datadichtheid. Een enkel gelekt dossier kan identiteitsgegevens, verzekeringsdetails en klinische geschiedenis tegelijk bevatten, waardoor zorgdatabases waardevoller zijn per dossier dan veel andere soorten consumentengegevens.

Waar getroffen patiënten op moeten letten

Iedereen die zorg heeft ontvangen van een zorgverlener die gebruikmaakt van de systemen van CareCloud, moet dit lek beschouwen als een signaal om financiële en medische accounts zorgvuldig te controleren. Waarschuwingssignalen van misbruik kunnen onder meer onbekende kosten, onverwachte verzekeringsclaims voor diensten die nooit zijn ontvangen, of meldingen van zorgverleners over zorg die de patiënt nooit heeft gezocht. Dit zijn kenmerken van medische identiteitsdiefstal, waarbij een gestolen identiteit wordt gebruikt om behandeling of recepten te verkrijgen onder iemand anders naam.

Omdat burgerservicenummers naar verluidt deel uitmaakten van de blootgestelde gegevens, lopen getroffen personen ook de meer bekende risico's van financiële fraude, waaronder het openen van nieuwe accounts, belastingfraude en kredietaanvragen op hun naam. Het controleren van kredietrapporten en het instellen van fraude-alerts zijn redelijke voorzorgsmaatregelen, ongeacht of er al een formele kennisgevingsbrief is gearriveerd, aangezien het kan duren voordat kennisgevingen van lekken alle betrokkenen bereiken.

Wat dit voor u betekent

Als u ooit zorg heeft ontvangen van een zorgverlener die gebruikmaakt van de technologie van CareCloud, is het de moeite waard om rechtstreeks bij die zorgverlener na te vragen of te letten op een officiële kennisgevingsbrief waarin wordt beschreven welke gegevens van u betrokken waren. In de tussentijd kunnen een paar concrete stappen uw blootstelling verminderen:

  • Vraag een kopie van uw kredietrapport op en controleer het op accounts die u niet herkent.
  • Overweeg een fraude-alert of kredietbevriezing bij de grote kredietbureaus te plaatsen, wat voorkomt dat er nieuwe accounts op uw naam worden geopend.
  • Houd uw verzekeringsafschriften (zogenaamde Explanation of Benefits) in de gaten voor diensten die u niet heeft ontvangen, een veelvoorkomend teken van medische identiteitsdiefstal.
  • Wijzig wachtwoorden op eventuele patiëntenportaalaccounts die aan getroffen zorgverleners zijn gekoppeld en schakel tweestapsverificatie in waar deze wordt aangeboden.
  • Bewaar eventuele kennisgevingsbrieven over het lek die u ontvangt, aangezien deze later nodig kunnen zijn om frauduleuze kosten of claims te betwisten.

Vooruitkijken

Het CareCloud-datalek is een herinnering dat de zorgverleners die patiënten direct zien vaak slechts één schakel zijn in een veel langere keten van leveranciers, softwareplatforms en gegevensverwerkers die achter de schermen gevoelige informatie verwerken. Wanneer een van die leveranciers wordt gecompromitteerd, golven de gevolgen naar buiten naar miljoenen mensen die de naam van het bedrijf misschien niet eens herkennen. Alert blijven op kennisgevingsbrieven, het controleren van financiële en medische afschriften en snel handelen bij tekenen van fraude blijven de meest effectieve manieren om de schade van lekken zoals deze te beperken.